首页
社区
课程
招聘
[旧帖] [求助]脱asprotect1.2x-1.3x后如何修复 0.00雪花
发表于: 2010-4-28 13:40 1482

[旧帖] [求助]脱asprotect1.2x-1.3x后如何修复 0.00雪花

2010-4-28 13:40
1482
脱asprotect1.2x-1.3x的壳,用的方法如下:
   不忽略int3中断,shift+F9两次后,在code段下断点,shift+F9到一个地址(这个地址是否为OEP我也不太确定),进行脱壳,脱后查壳为VC++7.0(该软件的其它没加壳的exe文件查壳都为VC++7.0,这是不是可以证明OEP找对了?)。脱后不能运行,用importREC进行修复,显示所有指针皆有效(这是不是就能说明上面那个地址就是OEP呢?),抓取后还是不能运行。尝试过添加附加数据,但是原加壳文件无附加数据,所以不知道该怎么修复了。
   该怎么办?高手来指点下。

[课程]Linux pwn 探索篇!

收藏
免费 0
支持
分享
最新回复 (4)
雪    币: 2323
活跃值: (4113)
能力值: ( LV12,RANK:530 )
在线值:
发帖
回帖
粉丝
2
这里我也是给你说一个脱AsProtect壳的一般方法,注意是一般方法,不包含Stolen Code之类的,你试试看,不要谢我,要谢就谢看雪的前辈们,因为我也是从他们那里学到的!
1、查壳为
ASProtect 1.23 RC1 -> Alexey Solodovnikov
2、忽略除内存访问之外的所有异常,隐藏OD!
3、Shift+F9不断的按,注意观察堆栈窗口当出现第一次硬盘指纹(什么是硬盘纹,这个问题,我也不太清楚,反正你看到一连串字符串然后后面加一个=如290loilwo90=)
4、这时在按一次Shift+F9,出现了第二次硬盘指纹,在这里停下来,不要按了!Alt+M打开内存,在00401000下F2断点,继续Shift+F9!
5、一直Shift+F9,来到最后一次异常(什么叫最后一次异常,就是录你在按一次时,程序跑起来了,这次就是最后一次异常!)
6、向下找一直找到看有没有一句retn的语句,在这里下F2断点,Shift+F9运行,运行到这里,注意堆栈窗口!!
7、堆栈中出现一个字符串如  0012FF49   00400000  ASCII "JACK"之类的字符串时,我们找到它下面的第二个地址如
0012FF49 00400000 ASCII "JACK"
0012FF50 C9F29209
0012FF52 0012FFA4       //我们要的就是这个地址0012FF52
8、在命令运下hr 0012FF52(硬件访问断点)
9、F9运行,来到一个地址处,然后F8单步很快就能到达OEP了,下面的就不要我说了,Dump加修复了!!

这时对付AsProtect的一般方法,如果不行的话把程序发给我我在用前人教的其它方法试试,我也只是小菜一个,不过给你个建议,脱壳之前一定要把几种程序的入口代码搞清楚了!!!
2010-4-28 16:53
0
雪    币: 107
活跃值: (25)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
3
非常感谢你能回复我的帖子,你说的这个方法我试过了,第一次shift+F9时程序就运行了,根本没机会让我看到硬盘指纹。不知道是不是这是个其它的壳,伪装成asprotect的呢?
2010-4-28 17:19
0
雪    币: 2323
活跃值: (4113)
能力值: ( LV12,RANK:530 )
在线值:
发帖
回帖
粉丝
4
加我QQ发过来我看看,学习学习!
2010-4-28 17:23
0
雪    币: 107
活跃值: (25)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
5
要发给你怎么了啊?给个邮箱什么的吧
2010-4-28 17:23
0
游客
登录 | 注册 方可回帖
返回
//